Alojamiento VPS Docker para Pangolin

Pangolin es una plataforma de acceso remoto basada en identidad y de código abierto, construida sobre WireGuard. Combina un proxy inverso tunelizado con acceso estilo VPN, para que puedas publicar servicios privados en la web pública sin abrir ningún puerto de entrada en la red local. El proyecto tiene doble licencia bajo AGPL-3 para la Edición Comunitaria y una licencia comercial gratuita para uso personal y pequeñas empresas que ganen menos de 100.000 dólares al año. Fossorial, la empresa detrás de él, cerró una ronda inicial en 2025 y publica actualizaciones frecuentes en la plataforma.

Sí, Pangolin es la alternativa autoalojada más citada a Cloudflare Tunnel y Cloudflare Access. La diferencia arquitectónica es que el VPS con IP pública que ejecutas es la única entrada, por lo que el tráfico nunca pasa a través de una red perimetral de terceros. Los operadores eligen Pangolin cuando quieren soberanía sobre su ruta de datos, cuando quieren exponer servidores multimedia que los términos de servicio de Cloudflare Tunnel prohíben, o cuando prefieren el inicio de sesión único autoalojado integrado directamente en el mismo plano de control que el proxy inverso.

Newt es el cliente de túnel WireGuard en espacio de usuario que se ejecuta en tu red doméstica u oficina. Marca saliente hacia el VPS de Pangolin sobre WireGuard, que es cómo CGNAT, doble NAT y firewalls corporativos restrictivos dejan de ser problemas para el acceso entrante. Instalas Newt en una máquina Linux o en un contenedor Docker dentro de la red privada, pegas los valores NEWT_ID y NEWT_SECRET del panel de Pangolin, y en pocos segundos el sitio pasa de desconectado a en línea en el panel de control principal.

Una CPU virtual y entre 512 megabytes y 1 gigabyte de RAM es suficiente para uso personal y de homelab. La documentación oficial recomienda 1 a 2 gigabytes de RAM, 1 a 2 CPUs virtuales y 20 a 25 gigabytes de almacenamiento para un rendimiento más sólido. En un VPS ARM de 2 CPUs virtuales y 4 gigabytes, los contenedores de Pangolin y Gerbil permanecen inactivos en alrededor de 80 megabytes de memoria juntos. Un plan de VPS pequeño cubre el acceso al homelab para la mayoría de los operadores hoy en día.

Sí. El cliente Newt marca el túnel WireGuard saliente hacia el VPS público, que es cómo la arquitectura evita CGNAT, doble NAT y redes domésticas restrictivas sin ninguna reconfiguración del router. Esta es una de las principales razones por las que los nuevos operadores adoptan la plataforma en lugar de soluciones que requieren reenvío de puertos o cooperación especial del operador. La red doméstica u oficina no necesita IP pública, no necesita puertos de entrada abiertos y no necesita ayuda del proveedor de internet para que la ruta de acceso funcione de forma fiable.

Sí, la Edición Comunitaria autoalojada es gratuita y de código abierto bajo la licencia AGPL-3. La Edición Enterprise también es gratuita para uso personal y para empresas que ganen menos de 100.000 dólares al año. Pangolin Cloud, el servicio gestionado, incluye un nivel gratuito con 25 gigabytes de ancho de banda, un sitio, un dominio y tres usuarios, con planes de pago que comienzan en cuatro dólares por usuario al mes. La mayoría de las configuraciones de homelab y equipos pequeños funcionan dentro de los términos gratuitos sin restricción.

Un servidor Pangolin en un VPS con IP pública termina HTTPS y ejecuta un servidor WireGuard llamado Gerbil. Un cliente ligero llamado Newt se ejecuta en tu red doméstica u oficina y marca saliente sobre WireGuard hacia el VPS, para que ningún puerto de entrada tenga que abrirse en el lado local. Traefik luego enruta las solicitudes entrantes a través del túnel hacia tus servicios privados. El resultado es acceso con control de identidad en un dominio público, con todo el estado de red en hardware que tú controlas.

En el VPS, Pangolin necesita TCP 80 y 443 para HTTP y HTTPS, UDP 51820 para el túnel WireGuard principal, y UDP 21820 para la interfaz de gestión de Gerbil. Si habilitas HTTP/3, también se expone el puerto UDP 443. En el lado doméstico u oficina, no se necesitan puertos de entrada en absoluto, ya que Newt hace la conexión saliente. Los grupos de seguridad en la nube y los firewalls del host deben permitir estos puertos UDP, que es una causa común de fallos en instalaciones por primera vez.

Sí, necesitas un dominio que controles para que Pangolin pueda emitir certificados SSL de Let's Encrypt a través de Traefik y enrutar subdominios por servicio de forma limpia. Un registro DNS comodín apuntado al VPS es la configuración típica, ya que permite publicar muchos recursos bajo un solo dominio base sin editar DNS para cada uno. Cloudflare y la mayoría de otros registradores funcionan como hosts DNS. El flujo de desafío DNS también está admitido cuando el desafío HTTP estándar está bloqueado por un firewall delante del puerto 80.

Sí, Pangolin admite recursos HTTP, HTTPS y TCP y UDP sin procesar a través del túnel. Eso significa que puedes tunelizar SSH, RDP, bases de datos, servidores de juegos y servidores multimedia autoalojados sin restricción. Esta es una brecha de capacidad notable frente al nivel gratuito de Cloudflare Tunnel, que restringe el tráfico no HTTP y prohíbe explícitamente el streaming de vídeo. Los operadores que publican bibliotecas de Plex o Jellyfin a través de su propia infraestructura suelen ser las voces más destacadas en este punto en los foros de homelab y canales de Discord de la comunidad activa en torno al proyecto.